U.K.-Regierung setzt auf KI: Schattenrisiken und Lücken werden sichtbar

Die britische Regierung verfolgt eine der ehrgeizigsten KI-Agenden weltweit. Nationale Strategien von DSIT und dem Cabinet Office. Ein Digital Centre of Government. Ein AI Playbook. Ein neu angekündigtes AI Skills Hub, das kostenlose Schulungen im großen Maßstab verspricht. Auf dem Papier macht das Vereinigte Königreich alles richtig.

In der Praxis sieht das Bild jedoch ganz anders aus.

Wichtige Erkenntnisse

1. Shadow AI nimmt in der britischen Regierung zu – und niemand hat Transparenz. Weltweit nutzen 64 % der Beschäftigten im öffentlichen Dienst in Umgebungen mit geringer Unterstützung persönliche Logins für KI am Arbeitsplatz, und 70 % setzen KI ein, ohne dass ihre Vorgesetzten davon wissen. Zwei von fünf britischen Beamten wissen nicht einmal, wofür sie KI überhaupt nutzen dürfen. Damit sind die Voraussetzungen für unkontrollierte Shadow-AI-Nutzung gegeben – was Bürgerdaten ohne Audit-Trail und ohne Incident-Response-Fähigkeit gefährdet.
2. Das Vereinigte Königreich belegt trotz Weltklasse-KI-Ambitionen Platz 6 von 10 Ländern. Das Vereinigte Königreich erzielte 47 von 100 Punkten im Public Sector AI Adoption Index – vor den USA (45), Deutschland (44) und Japan (43), aber deutlich hinter Singapur (58), Indien (58) und Saudi-Arabien (66). Die Lücke liegt nicht an Strategie oder Absicht, sondern an der Umsetzung: nationale Ambitionen in selbstbewusste, alltägliche KI-Nutzung durch Mitarbeitende an der Front zu übersetzen.
3. Über die Hälfte der britischen Beamten hat keinerlei KI-Schulung erhalten. Trotz 51/100 Punkten im Bereich Bildung – Platz 6 im Index – berichten 54 % der britischen Beschäftigten im öffentlichen Dienst, keinerlei KI-Schulung erhalten zu haben. Von denen, die geschult wurden, sagen 75 %, dass KI einfach zu bedienen ist – ein Beweis dafür, dass Schulungen wirken. Das Problem ist, dass die meisten Beamten nie eine erhalten.
4. Die Einführung erfolgt von unten nach oben, nicht durch die Führungsebene. Im Vereinigten Königreich basiert die KI-Einführung auf individueller Neugier und kollegialer Unterstützung, nicht auf einer Organisationsstrategie. 46 % der Beamten bemängeln fehlende klare Vorgaben der Führung, und Kollegen sind die wichtigste Informationsquelle für KI – noch vor formalen Schulungen oder offiziellen Leitlinien.
5. Das Einbetten ist die schwächste Disziplin des Vereinigten Königreichs – und die wichtigste. Das Vereinigte Königreich erzielte nur 42/100 Punkten beim Einbetten, was bedeutet, dass KI weiterhin von lokalen Initiativen abhängt und nicht systematisch unterstützt wird. Im Index berichten 61 % der Beschäftigten in Umgebungen mit hohem Einbettungsgrad von Vorteilen durch fortgeschrittene KI-Nutzung, verglichen mit nur 17 % bei niedrigem Einbettungsgrad. Solange KI nicht in die täglichen Arbeitsabläufe eingebettet ist, bleiben Produktivitätsgewinne auf frühe Anwender beschränkt.

Der Public Sector AI Adoption Index 2026, veröffentlicht von Public First für das Center for Data Innovation mit Unterstützung von Google, befragte 3.335 Beschäftigte im öffentlichen Dienst in 10 Ländern – darunter 345 im Vereinigten Königreich. Das Vereinigte Königreich belegt Platz sechs von zehn mit 47 von 100 Punkten. Damit liegt es im Mittelfeld, hinter Saudi-Arabien (66), Singapur (58), Indien (58), Südafrika (55) und Brasilien (49).

Für ein Land mit solch strategischem Ehrgeiz und starker KI-Ökosystem-Position ist das nicht ausreichend. Die Daten deuten darauf hin, dass das Problem nicht darin liegt, was Whitehall über KI sagt – sondern dass die Botschaft die Menschen, die sie am meisten betrifft, nicht erreicht.

Zahlen, die jeden Regierungs-CISO beunruhigen sollten

Der Index misst, wie Beschäftigte im öffentlichen Dienst KI in fünf Dimensionen erleben: Begeisterung, Bildung, Befähigung, Ermöglichung und Einbettung. Für das Vereinigte Königreich zeigen die Werte eine Belegschaft, die das Potenzial von KI kennt, aber nicht die Werkzeuge, Schulungen oder Freigaben erhalten hat, um dieses Potenzial zu nutzen:

• Begeisterung: 47/100 – Platz 8 von 10. Nur 43 % der britischen Beschäftigten im öffentlichen Dienst sind optimistisch bezüglich KI im öffentlichen Sektor, und nur 39 % empfinden KI als befähigend.
• Bildung: 51/100 – der stärkste Wert des Vereinigten Königreichs, aber irreführend. 54 % der Beamten geben an, keinerlei KI-Schulung erhalten zu haben. Von denen, die geschult wurden, finden 75 % KI einfach zu bedienen – ein Beweis für die Wirksamkeit von Schulungen, wenn sie stattfinden.
• Befähigung: 49/100 – etwa zwei von fünf Beschäftigten wissen nicht, wofür sie KI nutzen dürfen, und 46 % sagen, dass die Führung keine klaren Vorgaben macht.
• Ermöglichung: 47/100 – Werkzeuge sind vorhanden, aber der Zugang ist zwischen den Abteilungen ungleich verteilt und oft nicht auf den Arbeitsalltag abgestimmt.
• Einbettung: 42/100 – KI-Nutzung bleibt von lokalen Initiativen abhängig, nicht von systematischer Unterstützung. Nur 17 % nutzen KI für fortgeschrittene oder technische Aufgaben.

63 % der britischen Beamten geben an, „wenig“ oder „gar nichts“ über KI zu wissen. Mehr als zwei von fünf fühlen sich unsicher im Umgang mit KI-Tools. Nur 38 % glauben, dass KI im eigenen Team effektiv eingesetzt wird.

Das sind nicht die Zahlen einer Belegschaft, die KI ablehnt. Das sind die Zahlen einer Belegschaft, die auf sich allein gestellt ist.

Das Shadow-AI-Problem – offen sichtbar und doch übersehen

Dies ist die Erkenntnis aus dem globalen Index, der sich britische Sicherheitsverantwortliche in der Regierung stellen müssen.

In Umgebungen mit geringer Ermöglichung berichten 64 % der begeisterten KI-Anwender, am Arbeitsplatz persönliche Logins zu nutzen, und 70 % setzen KI für Arbeitsaufgaben ein, ohne dass ihre Vorgesetzten davon wissen.

Der Ermöglichungswert des Vereinigten Königreichs liegt bei 47/100. Der Befähigungswert – also das Maß, in dem sich Beschäftigte autorisiert und sicher fühlen, was erlaubt ist – liegt bei 49/100. Rund zwei von fünf Beamten wissen nicht, wofür sie KI nutzen dürfen. Genau das ist das Umfeld, in dem Shadow AI gedeiht.

Was bedeutet das konkret für britische Behörden? Beamte nutzen persönliche ChatGPT- oder Gemini-Konten, um Richtlinien zu entwerfen, Vorgänge zusammenzufassen oder Datensätze mit Bürgerinformationen zu analysieren. Sensible Daten – darunter Informationen, die unter die britische DSGVO und den Data Protection Act 2018 fallen – könnten in öffentliche große Sprachmodelle gelangen, ohne Audit-Trail, ohne Datenklassifizierung und ohne Möglichkeit, nachträglich festzustellen, was offengelegt wurde. Entscheidungen werden auf Basis von KI-Ergebnissen getroffen, die nicht auf Genauigkeit, Verzerrung oder Angemessenheit geprüft wurden. Und potenzielle Verstöße gegen Datenschutzpflichten bleiben ohne forensische Nachweise zur Bewertung des Ausmaßes.

Die Ironie ist offensichtlich. Abteilungen, die vorsichtig sein wollen und KI-Zugänge beschränken oder zu Berechtigungen schweigen, verhindern die Nutzung nicht. Sie treiben sie in den Untergrund – und schaffen damit deutlich mehr Risiken als Abteilungen, die genehmigte Tools mit klaren Nutzungsrichtlinien bereitstellen.

Hier muss die Diskussion von „Sollen wir KI zulassen?“ zu „Wie ermöglichen wir sichere KI-Nutzung?“ wechseln. Lösungen wie der Secure MCP Server von Kiteworks bieten die nötige Infrastruktur, um diese Lücke zu schließen – sie ermöglichen KI-Produktivität mit Tools wie Claude, ChatGPT und Copilot, während sensible Daten im privaten Netzwerk bleiben. Bestehende Governance-Frameworks (RBAC/ABAC) gelten für alle KI-Interaktionen, jede KI-Operation wird für Compliance und Forensik protokolliert, und sensible Inhalte verlassen nie die vertrauenswürdige Umgebung. Für britische Behörden bedeutet die Einhaltung der britischen DSGVO, des Data Protection Act 2018 und von Frameworks wie den Cloud Security Principles des NCSC, dass diese Schutzmaßnahmen direkt auf bestehende Compliance-Anforderungen einzahlen.

Die Alternative – zu hoffen, dass Schweigen und Vorsicht Beamte von der KI-Nutzung abhalten – ist eine Illusion, die der Index mit klaren Zahlen widerlegt.

Die Übersetzungslücke: Whitehall-Ambition vs. Realität an der Front

Die britische Regierung ist beim Thema KI nicht untätig. DSIT und das Cabinet Office haben KI ins Zentrum der Modernisierung des öffentlichen Dienstes gestellt. Das AI Playbook liefert zentrale Leitlinien. Das neu angekündigte AI Skills Hub soll kostenlose KI-Schulungen ausweiten. Es gibt den echten Willen, über Pilotprojekte und Spezialteams hinauszugehen und KI breiter im Alltag einzusetzen.

Doch der Index zeigt eine deutliche Diskrepanz zwischen diesem nationalen Anspruch und der Realität der Beschäftigten an der Front.

Während 60 % der britischen Beamten sagen, die KI-Nutzung habe im letzten Jahr zugenommen, bleibt die Anwendung meist auf einfache Aufgaben wie Entwürfe und Analysen beschränkt. Weniger als jeder Dritte nutzt KI zur Verbesserung von Arbeitsabläufen, und nur 17 % berichten von fortgeschrittener oder technischer Nutzung. Das Vereinigte Königreich hat ein hohes Bewusstsein für das Potenzial von KI – die meisten finden KI einfach zu bedienen (60 %), effektiv (52 %) und glauben, dass sie Zeit spart (66 %) – aber nur wenige erleben diese Vorteile im Arbeitsalltag.

Der entscheidende Unterschied zwischen dem Vereinigten Königreich und den Vorreitern liegt nicht in der Technologie. Es ist die Infrastruktur des Vertrauens.

In Singapur wissen 73 % der Beschäftigten genau, wofür sie KI nutzen dürfen und wofür nicht, und 58 % wissen, an wen sie sich bei Problemen wenden können. Zentrale Stellen stellen gemeinsame Plattformen, genehmigte Tools und praxisnahe Leitlinien bereit. In Saudi-Arabien sorgt eine nationale Top-down-Strategie im Rahmen von Vision 2030 dafür, dass KI als Modernisierung und nicht als Risiko wahrgenommen wird – 65 % haben Zugang zu unternehmensweiten KI-Tools, 79 % nutzen KI für fortgeschrittene Aufgaben. In Indien sind 83 % optimistisch gegenüber KI, und 59 % wünschen sich, dass sie die tägliche Arbeit grundlegend verändert.

Im Vereinigten Königreich hingegen wird die Einführung aktuell von unten nach oben getrieben – durch individuelle Neugier und kollegiale Unterstützung, nicht durch organisatorische Dynamik. Kollegen sind die Hauptquelle für KI-Wissen, noch vor formalen Schulungen oder offiziellen Leitlinien. Diese organische Begeisterung ist wertvoll, ersetzt aber keine systematische Ermöglichung.

Die fehlende Ebene: KI-Daten-Governance für die britische Regierung

Die Herausforderung des Vereinigten Königreichs ist nicht nur eine Frage von Schulung oder Führungskommunikation. Es fehlt eine Daten-Governance-Infrastruktur, die sichere KI-Nutzung im großen Maßstab ermöglicht.

Die meisten britischen Behörden haben keinen Überblick darüber, welche Daten mit KI-Systemen geteilt werden. Welche Beamten nutzen KI und zu welchem Zweck? Ob KI-generierte Ergebnisse sensible Informationen enthalten, die nicht extern geteilt werden dürfen? Wie lassen sich Datenklassifizierungsrichtlinien durchsetzen, wenn KI-Tools im Spiel sind? Für die meisten Abteilungen lautet die ehrliche Antwort: „Wir wissen es nicht.“

Genau hier werden KI-Daten-Governance-Frameworks unverzichtbar – nicht als Hürde, sondern als Fundament für eine selbstbewusste Einführung. Data Security Posture Management (DSPM) kann sensible Daten in allen Repositorys erkennen und klassifizieren, auch solche, die in KI-Systeme eingespeist werden. Automatisierte Richtlinien können privilegierte oder vertrauliche Daten anhand von Klassifizierungslabels vor KI-Zugriff schützen. Umfassende Audit-Logs erfassen alle KI-Daten-Interaktionen. Und in Verbindung mit britischer DSGVO, Data Protection Act 2018 und den NCSC-Leitlinien zu Cloud- und KI-Sicherheit helfen diese Funktionen, KI-Risiken über den gesamten Datenlebenszyklus zu steuern.

Der Ansatz von Kiteworks ist hier beispielhaft. Durch die Integration von DSPM mit automatisierter Richtlinienumsetzung und unveränderlicher Audit-Protokollierung können Organisationen Daten nach Sensitivitätsstufen – öffentlich, offiziell, offiziell-sensitiv, geheim – taggen und diese Klassifizierungen automatisch durchsetzen, sobald KI-Tools im Einsatz sind. Jede KI-Daten-Interaktion wird mit Nutzer-ID, Zeitstempel, zugegriffenen Daten und verwendetem KI-System erfasst. Das ist nicht nur eine Compliance-Übung, sondern die Infrastruktur, die selbstbewusste KI-Nutzung im großen Maßstab ermöglicht.

Ohne diese Ebene tappen britische Behörden beim KI-Risiko im Dunkeln. Mit ihr können sie KI-Nutzung erlauben – in dem Wissen, dass Bürgerdaten geschützt sind. Genau das fordern die Beschäftigten.

Was britische Beamte fordern

Das britische Factsheet zeigt eine Belegschaft, die bereit ist, aber wartet. Beamte müssen nicht erst vom Potenzial der KI überzeugt werden – die meisten glauben bereits, dass sie Zeit spart (66 %), und 60 % finden sie einfach zu bedienen. Was sie brauchen, sind Klarheit und Infrastruktur, um dieses Potenzial zu nutzen.

Die Indexdaten aus den USA – wo Beschäftigte direkt gefragt wurden, was die KI-Nutzung fördern würde – liefern ein klares Signal, das auch für das Vereinigte Königreich gilt. Klare, praxisnahe Leitlinien (38 %), benutzerfreundlichere Tools (36 %) und Datenschutz-Garantie (34 %) stehen ganz oben. Ein eigenes Budget rangiert mit 12 % ganz unten.

Auch im Vereinigten Königreich zeichnet sich ein klares Bild: 46 % bemängeln fehlende klare Vorgaben der Führung. 54 % haben keine Schulung erhalten. Rund zwei von fünf wissen nicht, was sie mit KI tun dürfen. Und 44 % empfinden Schulungen als nachrangig in ihrer Organisation.

Die Beamten fordern keine groß angelegten neuen Programme. Sie fordern Klarheit, Benutzerfreundlichkeit und Vertrauen – Dinge, die sich durch Richtlinien, Kommunikation und kluge Beschaffung umsetzen lassen.

Warum Einbettung wichtiger ist als alles andere

Das Vereinigte Königreich erzielte 42/100 Punkten beim Einbetten – ein Zeichen für frühe oder ungleichmäßige Integration, bei der KI-Nutzung von lokalen Initiativen abhängt. Das ist problematisch, denn die Indexdaten zeigen: Einbettung ist die Dimension, die den größten Mehrwert bringt.

Länderübergreifend berichten 61 % der Beschäftigten in Umgebungen mit hohem Einbettungsgrad von Vorteilen durch fortgeschrittene oder technische KI-Nutzung, verglichen mit nur 17 % bei niedrigem Einbettungsgrad. Einbettung gleicht zudem die Unterschiede zwischen Altersgruppen aus: In Umgebungen mit hoher Einbettung geben 58 % der Beschäftigten ab 55 Jahren an, durch KI mehr als eine Stunde Zeit zu sparen, verglichen mit nur 16 % bei niedriger Einbettung.

Das Vereinigte Königreich steht derzeit am falschen Ende dieses Spektrums. Nur 17 % der Beamten nutzen KI für fortgeschrittene oder technische Aufgaben. Solange KI nicht in bestehende Systeme und Arbeitsabläufe integriert ist, bleibt das Produktivitätsversprechen der Regierungsagenda theoretisch.

Drei Prioritäten, die die Entwicklung verändern könnten

Der Index zeigt drei Maßnahmen, die die KI-Einführung im britischen öffentlichen Dienst schnell voranbringen könnten – wenn sie gemeinsam umgesetzt werden.

Erstens: Freigaben explizit und operativ machen – gestützt durch sichere Infrastruktur. Das AI Playbook und nationale Strategien müssen durch konsistente, sichtbare Signale der Abteilungsleitung gestärkt werden. Aber Freigabe ohne Schutz schafft Risiken. Abteilungen sollten Enterprise-KI-Lösungen mit Datenschutzkontrollen, Governance-Frameworks und umfassender Protokollierung einsetzen – so bleibt sensible Daten immer in der vertrauenswürdigen Umgebung. Plattformen wie der Secure MCP Server von Kiteworks zeigen, wie das praktisch funktioniert: KI-Produktivität mit Claude, ChatGPT und Copilot ermöglichen und gleichzeitig die erforderlichen Data-Governance-Kontrollen für britische Behörden sicherstellen. Wenn Beamte wissen, dass ihre Tools genehmigt, konform und überwacht sind, weicht Unsicherheit dem Vertrauen.

Zweitens: Vertrauen durch Nachweise und Incident-Readiness schaffen. Britische Beamte erkennen das Potenzial von KI, aber weniger als zwei von fünf empfinden sie als befähigend. Konkrete Praxisbeispiele – wie KI Verwaltungsaufwand reduziert, Service-Triage verbessert oder bessere Analysen ermöglicht – machen KI greifbar. Vertrauen erfordert aber auch Klarheit für den Ernstfall. Beispiel: Ein Beamter kopiert versehentlich Tausende National Insurance-Nummern in ein öffentliches KI-Tool zur Datenanalyse. Die Daten landen beim Anbieter – möglicherweise dauerhaft gespeichert oder anderen Nutzern zugänglich. Kann die Behörde nachvollziehen, was, wann, von wem und welche weiteren sensiblen Daten geteilt wurden? Ohne unveränderliche Audit-Logs, SIEM-Integration für Echtzeit-Monitoring und Chain-of-Custody-Dokumentation ist die Antwort nein. Incident-Response-Fähigkeiten für KI-spezifische Szenarien sind keine Option, sondern Voraussetzung für verantwortungsvolle Einführung.

Drittens: Von Bewusstsein zu Vertrauen durch rollenspezifische Schulungen. Das neue AI Skills Hub ist ein Schritt in die richtige Richtung, aber die Indexdaten zeigen: Einführende, generische Schulungen reichen nicht. 44 % der Beamten empfinden Schulungen als nachrangig. Kurze, praxisnahe Schulungen, die auf spezifische Rollen zugeschnitten sind – und zeigen, wie KI bestehende Aufgaben unterstützt, mit Vorlagen, Prompts und Beispielen – schließen die Lücke zwischen Bewusstsein und sicherer Anwendung. Die Zusammenarbeit mit vertrauenswürdigen Technologieanbietern kann helfen, Schulungen im großen Maßstab bereitzustellen und gleichzeitig die nötige Sicherheit und den Datenschutz zu gewährleisten.

Die Einsätze sind höher als Rankings

Platz sechs im Index ist angesichts des nationalen Ehrgeizes enttäuschend, aber der eigentliche Schaden ist nicht der Ruf, sondern der Betrieb. Jeder Tag ohne sichere, genehmigte KI-Tools ist ein weiterer Tag, an dem Regierungsdaten ohne Kontrolle über persönliche Konten laufen. Jede Woche ohne klare, abteilungsweite Leitlinien ist eine Woche, in der Produktivitätsgewinne ausbleiben. Jeder Monat ohne eingebettete KI-Governance vergrößert die Lücke zwischen KI-Ambition und Realität im öffentlichen Sektor.

Shadow AI ist längst Realität. Siebzig Prozent der Beschäftigten weltweit nutzen KI – viele außerhalb genehmigter Kanäle. Die Kombination aus hoher Bekanntheit, geringer Ermöglichung und unklaren Freigaben schafft im Vereinigten Königreich die perfekten Bedingungen für unkontrollierte KI-Nutzung – und gefährdet Bürgerdaten unter britischer DSGVO und Data Protection Act 2018.

Die 345 befragten britischen Beamten senden eine klare Botschaft: Gebt uns Leitlinien, gebt uns sichere Tools – und lasst uns arbeiten. Die Frage ist, ob die Führung zuhört – und ob sie das Shadow-AI-Problem löst, bevor daraus eine ausgewachsene Datenschutzkrise wird.